De EUDI-wallet verwerkt grensoverschrijdende identiteitsverificatie door burgers in staat te stellen cryptografisch geverifieerde identiteitsgegevens uit hun thuisland te presenteren aan diensten en autoriteiten in elke andere EU-lidstaat. Elke wallet solution is gebouwd op gedeelde Europese technische standaarden onder Verordening (EU) 2024/1183, die Verordening (EU) 910/2014 wijzigt en informeel wordt aangeduid als eIDAS 2.0. De ontvangende partij hoeft niets te weten over het nationale identiteitssysteem van de gebruiker om te vertrouwen op wat zij ontvangen. Dit artikel beantwoordt de meest gestelde vragen van organisaties over hoe dat proces in de praktijk werkt.
Welke landen en diensten accepteren de EUDI-wallet?
Uiterlijk op 24 december 2026 moet elke EU-lidstaat minimaal één gecertificeerde EUDI-wallet operationeel hebben voor burgers, inwoners en bedrijven. Publieke instanties moeten genotificeerde wallets vanaf die datum accepteren als identificatiemiddel voor onlinediensten waarvoor elektronische identificatie vereist is. Voor gereguleerde private partijen in sectoren zoals bankieren, telecom en zorg geldt een eigen acceptatieplicht op grond van artikel 5f van de verordening, die ingaat op 24 december 2027.
In de praktijk verloopt de uitrol in fasen. De eerste vier grootschalige pilotprojecten liepen van april 2023 tot 2025 en testten praktijkgerichte toepassingen, waarbij meer dan 350 organisaties uit 26 lidstaten, Noorwegen, IJsland en Oekraïne betrokken waren. De pilotconsortia waren als volgt verdeeld:
- EWC: Digital Travel Credentials, betalingen en organisational digital identity
- POTENTIAL: overheidsdiensten, bankrekening openen, SIM-registratie, mobiel rijbewijs, gekwalificeerde handtekening op afstand en e-recepten
- NOBID: betalingen
- DC4EU: onderwijs en sociale zekerheid
In 2025 startte een tweede pilotgolf met WE BUILD, gericht op business wallets en betalingen, en APTITUDE, gericht op reizen, ticketing, voertuigregistratie en betalingen.
De reikwijdte van de acceptatie is bewust breed. De wallet is ontworpen om zowel voor online als persoonlijke interacties te werken, wat betekent dat organisaties in vrijwel elke sector uiteindelijk in staat moeten zijn om op wallets gebaseerde attestaties te ontvangen en te verifiëren. Micro- en kleine ondernemingen, gedefinieerd als organisaties met minder dan 50 medewerkers en een jaaromzet of balanstotaal van maximaal 10 miljoen euro, zijn uitgezonderd van de acceptatieplicht onder artikel 5f.
Hoe verifieert de EUDI-wallet identiteit in verschillende nationale systemen?
De EUDI-wallet verifieert identiteit in nationale systemen door te vertrouwen op een gedeeld technisch kader in plaats van directe verbindingen tussen individuele landendatabases. Wanneer een gebruiker zijn wallet presenteert aan een dienst in een andere lidstaat, verifieert de ontvangende relying party een cryptografisch ondertekende attestatie, niet het ruwe nationale identiteitsrecord. Dit betekent dat de verificatie werkt ongeacht hoe het identiteitssysteem van het thuisland intern is opgebouwd.
Elke wallet bevat zogenaamde Person Identification Data (PID)-attestaties. Deze worden uitgegeven door het thuisland van de gebruiker, digitaal ondertekend door een vertrouwde autoriteit en veilig opgeslagen in de wallet unit. Wanneer een grensoverschrijdende dienst identiteitsgegevens opvraagt, presenteert de wallet unit de relevante attestatie. Correcte verificatie door de ontvangende relying party omvat drie afzonderlijke controles: verificatie van de handtekening van de uitgever aan de hand van de nationale trusted list, controle van de intrekkingsstatus via de statusinformatie van de uitgever, en verificatie van de wallet unit attestation waarmee wordt vastgesteld dat de presenterende wallet draait op een gecertificeerde wallet solution. Alleen de eerste controle kan volledig offline plaatsvinden; de overige twee vereisen contact met externe bronnen.
Voor het trust framework wordt gebruikgemaakt van nationale trusted lists conform ETSI TS 119 612, samengebracht in de EU List of Trusted Lists (LOTL). Deze architectuur lost een van de kernproblemen op van de oorspronkelijke eIDAS-verordening, die wederzijdse erkenning vereiste maar de technische details overliet aan individuele landen. Onder eIDAS 2.0 zijn de technische standaarden geharmoniseerd op Europees niveau, zodat een Duitse relying party een Portugese PID-attestatie kan verifiëren met dezelfde logica als voor een binnenlandse attestatie.
Welke gegevens deelt de EUDI-wallet tijdens een grensoverschrijdende verificatie?
Tijdens een grensoverschrijdende verificatie deelt de EUDI-wallet alleen de specifieke attributen die de relying party heeft opgevraagd en waarvoor de gebruiker toestemming heeft gegeven. Dit principe van selective disclosure is een van de bepalende kenmerken van de wallet. Een dienst die alleen hoeft te bevestigen dat je ouder bent dan 18, ontvangt bijvoorbeeld een geverifieerd ja of nee op basis van het attribuut “ouder dan 18”, in plaats van jouw volledige geboortedatum, naam en adres.
De gedeelde gegevens zijn doorgaans afhankelijk van het gebruik. Voor toegang tot een overheidsdienst kan dit naam, geboortedatum, nationaliteit en een nationaal identificatienummer omvatten. Voor een betalingsautorisatie kan het slechts een geverifieerde identiteitsbevestiging zijn. De wallet geeft gebruikers volledig inzicht in en controle over wat er bij elke interactie wordt gedeeld.
De wallet is ontworpen om onnodige gegevensdeling te voorkomen. Gebruikers kunnen precies zien wat een relying party opvraagt voordat zij de transactie goedkeuren, en er wordt niets automatisch of op de achtergrond gedeeld. Het transactieoverzicht dat de wallet bijhoudt, is een voorziening voor de gebruiker zelf, geen loggingvoorziening voor de relying party of de wallet provider. Deze aanpak sluit aan bij het gegevensminimalisatieprincipe van de AVG. Daarbij is het van belang te onderscheiden dat goedkeuring van een dataverzoek in de wallet niet automatisch toestemming vormt als rechtsgrond onder artikel 6, lid 1, onder a, AVG. Een relying party heeft een zelfstandige AVG-grondslag nodig voor de verwerking van de ontvangen gegevens.
Wat is het verschil tussen de EUDI-wallet en de bestaande grensoverschrijdende eIDAS-login?
Het belangrijkste verschil is dat het oorspronkelijke eIDAS-kader een wettelijke verplichting voor overheden creëerde om elkaars aangemelde elektronische identiteitsregelingen te erkennen, maar de technische implementatie versnipperd liet en de private sector grotendeels buiten beschouwing liet. eIDAS 2.0 wijzigt Verordening (EU) 910/2014 ingrijpend en introduceert een gestandaardiseerde, interoperabele wallet die werkt voor zowel publieke als private diensten in alle lidstaten.
Onder het oorspronkelijke eIDAS verliep grensoverschrijdend inloggen via een netwerk van nationale knooppunten die authenticatieverzoeken tussen landen vertaalden. Het was complex om te implementeren, beperkt tot bepaalde betrouwbaarheidsniveaus en in de praktijk niet beschikbaar voor de meeste particuliere organisaties. De dekking was ook ongelijkmatig: niet elke lidstaat meldde een regeling aan, en degenen die dat wel deden hadden in de praktijk vaak beperkte interoperabiliteit.
eIDAS 2.0 verandert dit op verschillende punten. Elke lidstaat moet een wallet aanbieden, niet alleen een regeling aanmelden. Gereguleerde private partijen in sectoren zoals bankieren, telecom, zorg, energie, transport, onderwijs, sociale zekerheid, drinkwater, post, digitale infrastructuur en digitale diensten zijn opgenomen als verplichte acceptanten op grond van artikel 5f van de verordening, met een acceptatieplicht die ingaat op 24 december 2027. Voor zeer grote onlineplatforms met meer dan 45 miljoen gebruikers in de EU geldt een afzonderlijke bepaling van artikel 5f: zij moeten walletacceptatie ondersteunen waar het platform gebruikersauthenticatie vereist, op vrijwillig verzoek van de gebruiker en voor de minimaal noodzakelijke gegevens. De wallet ondersteunt naast authenticatie ook de presentatie van attestaties, zoals diploma’s, beroepskwalificaties en gezondheidsdocumenten. Erkenning van beroepskwalificaties blijft berusten op Richtlijn 2005/36/EG; de wallet kan de gegevens dragen, maar vormt niet zelf de juridische erkenningsgrondslag. De gebruikerservaring is gestandaardiseerd, zodat dezelfde wallet consistent over de grenzen heen werkt in plaats van via landspecifieke infrastructuur te worden geleid.
Voor organisaties in financiële dienstverlening of andere gereguleerde sectoren is deze verschuiving significant. Grensoverschrijdende digitale onboarding en identiteitsverificatie worden daarmee voor het eerst echt schaalbaar, al blijven de precieze mogelijkheden voor hergebruik van KYC-gegevens mede afhankelijk van AML-regelgeving en sectorale regels.
Wat gebeurt er als een grensoverschrijdende verificatie mislukt of wordt afgewezen?
Wanneer een grensoverschrijdende EUDI-wallet-verificatie mislukt, zijn de meest voorkomende oorzaken een mismatch tussen wat de relying party heeft opgevraagd en wat de wallet kan bieden, een technische fout in het validatieproces, of een wallet unit die nog niet volledig is geactiveerd of gecertificeerd. In de meeste gevallen ontvangt de dienst een duidelijke foutmelding in plaats van een dubbelzinnig resultaat.
Vanuit het perspectief van de gebruiker betekent een mislukte verificatie doorgaans dat zij een alternatieve vorm van identiteitsbewijs moeten overleggen of contact moeten opnemen met de uitgevende autoriteit om een probleem met hun wallet op te lossen. Van diensten wordt in het algemeen verwacht dat zij tijdens de overgangsperiode alternatieven aanbieden, aangezien niet alle gebruikers onmiddellijk over een volledig functionele wallet zullen beschikken. Walletgebruik is bovendien vrijwillig; artikel 5a beschermt gebruikers tegen benadeling wanneer zij geen wallet gebruiken.
Vanuit de kant van de organisatie is het netjes afhandelen van afwijzingen een belangrijk onderdeel van de implementatie. Dit betekent het opbouwen van workflows die wallet-gebaseerde verificatie kunnen accommoderen naast traditionele identiteitscontroles, het loggen van mislukte pogingen op een manier die auditverplichtingen ondersteunt, en het bieden van duidelijke begeleiding aan gebruikers over de volgende stappen. Organisaties die hun integratiebenadering zorgvuldig plannen, zijn beter gepositioneerd om randgevallen te beheren zonder wrijving te creëren voor legitieme gebruikers.
Hoe moeten organisaties zich voorbereiden op het accepteren van de EUDI-wallet van buitenlandse gebruikers?
Organisaties moeten beginnen met het in kaart brengen van welke digitale diensten identiteitsverificatie vereisen en beoordelen welke gebruikerstrajecten het meest waarschijnlijk grensoverschrijdende gebruikers zullen omvatten. Van daaruit omvat de voorbereiding drie praktische gebieden: technische integratie, compliancegereedheid en gebruikerservaring-ontwerp.
- Technische integratie: Organisaties moeten zich registreren als relying party bij de bevoegde nationale autoriteit op grond van CIR (EU) 2025/848 van 6 mei 2025, voordat walletdata kan worden opgevraagd. Bij die registratie wordt per intended use vastgelegd welke attributen en attestaties worden opgevraagd; een verzoek buiten deze geregistreerde scope kan door de wallet worden geweigerd. De technische implementatie maakt gebruik van OID4VP voor presentatie en OID4VCI voor uitgifte, en ondersteunt de credentialformaten mdoc en SD-JWT VC zoals beschreven in de Architecture and Reference Framework (ARF).
- Compliancegereedheid: Het accepteren van op wallets gebaseerde attestaties brengt verplichtingen met zich mee op het gebied van gegevensverwerking, auditlogging en doelbinding. Organisaties moeten hun bestaande AVG- en eIDAS-compliancekaders herzien om te zorgen dat deze wallet-interacties omvatten, inclusief de zelfstandige verwerkingsgrondslag die vereist is naast de goedkeuring van de gebruiker in de wallet.
- Gebruikerservaring-ontwerp: Een wallet-verificatiestroom moet intuïtief zijn voor gebruikers die mogelijk niet vertrouwd zijn met de technologie. Duidelijke toestemmingsschermen, transparante gegevensverzoeken en betrouwbare alternatieven dragen allemaal bij aan een soepele ervaring.
Organisaties in sectoren zoals overheid en gezondheidszorg staan voor bijzonder dringende tijdlijnen, gezien de verplichte acceptatievereisten die van toepassing zijn op publieke diensten per 24 december 2026 en op gereguleerde private partijen per 24 december 2027. Nu al beginnen met de voorbereiding, in plaats van te wachten op volledige regelhandhaving, geeft organisaties de tijd om integraties te testen, teams te trainen en workflows te verfijnen voordat grensoverschrijdend wallet-gebruik wijdverspreid wordt.
Hoe de ID Connector van TrustTech grensoverschrijdende identiteitsverificatie met de EUDI-wallet ondersteunt
De ID Connector van TrustTech is een integratie waarmee relying parties elke gecertificeerde Europese wallet accepteren, ongeacht de lidstaat van uitgifte, voor identificatie, login en gekwalificeerd tekenen. Acceptatie van de EUDI-wallet staat voorop; via dezelfde koppeling lopen ook andere identiteitsmiddelen, zoals nationale eID’s, bank-ID’s en identiteitsdocumenten, binnen en buiten de EU.
Voor grensoverschrijdende identiteitsverificatie voert de ID Connector de drie verificatiestappen uit die elke relying party moet uitvoeren: validatie van de uitgevershandtekening tegen de nationale trusted lists, controle van de intrekkingsstatus via de statusinformatie van de uitgever, en validatie van de wallet unit attestation. Daarnaast bewaakt de Connector de geregistreerde attributenscope per intended use, zodat verzoeken buiten de geregistreerde scope worden onderkend. Geverifieerde identiteitsdata kunnen worden hergebruikt in vervolgprocessen, en waar van toepassing ondersteunt de ID Connector gekwalificeerd tekenen via een aangesloten QTSP.
Organisaties in financiële dienstverlening, gezondheidszorg en de publieke sector staan voor de kortste tijdlijnen. De acceptatieplicht voor publieke diensten geldt per 24 december 2026; voor gereguleerde private partijen volgt de verplichting op 24 december 2027. De ID Connector is by design eIDAS 2.0-klaar, zodat organisaties de integratie kunnen testen en verfijnen voordat grensoverschrijdend wallet-gebruik op schaal plaatsvindt.
Wil je weten wat de ID Connector concreet betekent voor jouw organisatie en sector, neem dan contact op met TrustTech.